DORA remplace-t-il les règlements existants ?

Non, DORA complète les règlements sectoriels existants (Solvency II, MiFID II, etc.) en unifiant les exigences de résilience numérique. Il prime sur les dispositions nationales contradictoires.

Quelles sont les principales différences avec NIS2 ?

DORA est **sectoriel** (finance) et **plus prescriptif** sur les tests et la gestion des tiers TIC. NIS2 couvre un périmètre sectoriel plus large mais avec des exigences de sécurité plus générales.

Combien coûte une mise en conformité DORA ?

Pour une PME financière, comptez 80-150 k€ la première année (audit, conseils, outils) + 30-60 k€/an de pilotage. Un DPO/RSSI externalisé divise ce coût.

Dois-je déclarer mon registre TIC ?

Oui, chaque entité doit déclarer son registre d'information TIC annuellement à son régulateur (format européen harmonisé). Notre logiciel DORA automatise cette production.

Réglementation DORA

Tout comprendre sur le règlement DORA

Le règlement DORA (Digital Operational Resilience Act) impose aux entités financières un cadre strict de gestion des risques liés aux technologies de l'information et de la communication. Il s'applique depuis le 17 janvier 2025.

Planifiez un échange Découvrir le Logiciel DORA

17 janv. 2025

Date d'application

22 000+

entités financières UE

5 piliers

de résilience

2% CA

ou 1 M€ (max.)

Qu'est-ce que le règlement DORA ?

DORA (Digital Operational Resilience Act) est un règlement européen applicable depuis le 17 janvier 2025. Il vise à renforcer la résilience opérationnelle numérique du secteur financier face aux cybermenaces et aux dépendances technologiques. Son périmètre est large : plus de 22 000 entités financières et prestataires de services TIC sont concernées dans l'UE.

Qui est concerné par DORA ?

Le règlement s'applique à l'ensemble de la chaîne de valeur du secteur financier européen, ainsi qu'à leurs prestataires TIC critiques.

Banques et établissements de crédit

Compagnies d'assurance et de réassurance

Sociétés de gestion d'actifs et fonds

Prestataires de services de paiement

Établissements de monnaie électronique

Prestataires de services TIC critiques (cloud, logiciels, infra)

Gestionnaires de plateformes de négociation et dépositaires

Intermédiaires en financement participatif (crowdfunding)

Les 5 piliers de DORA

DORA s'articule autour de 5 piliers qui couvrent l'ensemble du cycle de vie des risques TIC.

Gestion des risques liés aux TIC : cadre complet approuvé par la direction

Notification des incidents TIC majeurs : classification et reporting aux autorités (ACPR, AMF)

Tests de résilience opérationnelle : tests réguliers + pentests TLPT pour les entités critiques

Gestion des risques liés aux tiers TIC : registre d'information, évaluation, clauses contractuelles, exit strategy

Partage d'informations sur les cybermenaces : coopération entre entités financières (facultatif)

Gestion des tiers TIC

DORA introduit un régime strict de surveillance des prestataires TIC critiques, avec un registre d'information obligatoire à déclarer aux autorités.

Registre d'information des contrats TIC (modèle européen standardisé)

Évaluation préalable de chaque prestataire critique

Clauses contractuelles obligatoires : droit d'audit, sécurité, localisation, notification

Exit strategy : plan de réversibilité en cas de défaillance du prestataire

Supervision directe des prestataires désignés critiques par l'UE

Tests de résilience opérationnelle

DORA rend obligatoires des tests réguliers des dispositifs de résilience, avec une exigence renforcée pour les entités financières significatives.

Tests annuels : évaluation de la vulnérabilité, tests de scénarios

Tests TLPT (Threat-Led Penetration Testing) tous les 3 ans pour les entités significatives

Pilotés par les autorités avec des testeurs certifiés

Plans de remédiation documentés et suivis

Simplifiez votre conformité DORA avec Data Comply One

FAQ DORA

L'ACPR (Autorité de Contrôle Prudentiel et de Résolution) et l'AMF (Autorité des Marchés Financiers), en coordination avec les autorités européennes (ESMA, EBA, EIOPA).